セキュリティ診断の報告書で指摘を受けたときの読み方と、直す順番

公開日：2026年10月11日

取引先の求めで受けたセキュリティ診断（脆弱性診断）の報告書に数十件の指摘が並び、どこから手を付ければよいか分からないというご相談をいただきます。
報告書は、すべてを同時に直すことを求めるものではありません。
本記事では、指摘の重さの分け方、まず確認すること、直す順番を説明いたします。

重さ（危険度）の分け方

多くの診断の報告書は、指摘ごとに危険度を付けています。
広く使われている基準が、FIRST（Forum of Incident Response and Security Teams）の定める CVSS（共通脆弱性評価システム）です。
CVSS は0.0から10.0の点数で、次の5段階に分けます。

日本語の呼び名は診断の会社ごとに異なります。報告書の冒頭にある評価の基準の節で、呼び名と点数の対応を確認してください。

まず確認すること

1. 診断の対象と日時：どの URL・どのサーバーを、いつ診断したか。古い環境や、既に止めたサーバーへの指摘が含まれていることがあります。
2. 実際に確認したか、版の番号から判断したか：「バージョンが古い」という指摘は、表示された番号だけで判断していることがあります。サーバーの会社が修正を取り込んだ版を提供している場合もあるため、事業者の情報と照らし合わせます。
3. 同じ原因の指摘のまとまり：1つの設定の不足が、複数のページで別々の指摘として数えられていることがあります。原因ごとにまとめると、件数は大きく減ります。
4. どこで直すか：サイトの中身（WordPress のプラグインなど）、サーバーの設定、Cloudflare などの手前の配信の設定のどれで直せるかを分けます。

直す順番

1. 緊急・重要の指摘のうち、外から実際に悪用できるもの（認証を通らずに操作できる、情報が読み出せる）
2. WordPress の本体・プラグイン・テーマの更新で直るもの。作業が短く、まとめて片付きます。
3. 通信の暗号化の設定（古い TLS の版の受け付け、HSTS の未設定など）。Cloudflare を使っている場合は、管理画面の設定で直せるものが多くあります。
4. セキュリティのための応答ヘッダー（X-Content-Type-Options・Content-Security-Policy など）の不足
5. 注意・情報の指摘。直さない判断をした場合は、その理由を記録に残します。

直したら、同じ診断の会社に再診断を依頼するか、同じ方法で自社で確認し、指摘が消えたことを記録に残します。
取引先へ提出する際は、「指摘」「対応の内容」「対応した日」「再確認の結果」を1行ずつ並べた表にまとめると伝わります。

Cloudflare の設定で直せる指摘の例

HSTS の注意点は「HSTS を入れる前に知っておくこと」、暗号化の設定は「Cloudflare の SSL/TLS の暗号化モードの違いと、最低の TLS のバージョンの選び方」で説明しています。

出典

• FIRST「Common Vulnerability Scoring System v3.1: Specification Document」 https://www.first.org/cvss/v3.1/specification-document（2026年10月11日 確認）
• Cloudflare「Minimum TLS Version」 https://developers.cloudflare.com/ssl/edge-certificates/additional-options/minimum-tls/（2026年10月11日 確認）
• Cloudflare「Managed Rules」 https://developers.cloudflare.com/waf/managed-rules/（2026年10月11日 確認）